Durante tres años la pregunta fue si una organización usaba inteligencia artificial. La pregunta ya cambió. Ahora es cómo la usa, y quién puede probarlo.
El Reglamento europeo de IA no concentra toda la responsabilidad en un solo actor. Asigna obligaciones según el rol: proveedor, responsable del despliegue, importador, distribuidor u otros participantes alcanzados. Esa arquitectura vuelve relevante una pregunta contractual y operativa · qué evidencia conserva cada parte sobre lo que hace y sobre lo que exige a las demás.
Los términos de uso y las declaraciones internas aportan evidencia limitada. Pueden asignar obligaciones, pero no demuestran por sí solos que el inventario esté completo, que los controles operen o que los incidentes se traten. Su valor depende de la evidencia que los acompaña.
Mi hipótesis es que el acceso a determinadas capacidades, contratos o coberturas se condicionará cada vez más a evidencia de gobierno. No afirmo que esa condición sea hoy universal ni que vaya a adoptar una única forma. Puede aparecer como requisito del proveedor, cláusula contractual, evaluación del cliente, condición del asegurador o exigencia regulatoria.
Parte del marco ya existe. ISO/IEC 42001 especifica requisitos para establecer, implementar, mantener y mejorar un sistema de gestión de IA. ISO/IEC 42005 aporta orientación para evaluar impactos durante el ciclo de vida. Esos marcos ayudan a ordenar la evidencia; no sustituyen la lectura del alcance ni permiten concluir, sin auditoría adicional, que cada control funciona.
La diferencia relevante no está solo entre usar o no usar IA. Está entre poder reconstruir un uso —finalidad, datos, responsable, evaluación, supervisión e incidentes— y depender de una declaración general que nadie puede contrastar.
Divulgación de interés · dirijo IAC. Ese vínculo institucional es contexto relevante para el lector. Esta pieza expresa una tesis autoral personal; no constituye una acreditación, una certificación, una oferta ni una promesa de acceso a sistemas de IA por parte de IAC.